三周才发现：零日攻击的新常态

攻击者在你网络里住了三周，你的 SOC 还以为一切正常。

这不是段子，是 Mandiant 研究员刚刚给出的结论：Citrix NetScaler 的一个零日漏洞，被至少利用了三周才浮出水面，数十家组织中招，攻击者被归因于先进的、疑似国家级背景的威胁组织。几乎同一时间，Cisco Catalyst SD-WAN Manager 和 Apple 各自曝出被活跃利用的零日。三条线索指向同一个判断：零日攻击已经从'撞大运的开门'，变成了'精装修入住'。

🔍 三周静默：边界设备的完美盲区

金句先放这里：最贵的 EDR 看不见最便宜的出口设备。

想象一个典型的企业安全团队：终端装了 EDR，邮件网关接了沙箱，SOC 大屏上绿油油一片。但他们的 NetScaler 出口设备呢？大多数情况下，它是一台'装完就忘'的盒子——不打补丁、不做流量基线、日志甚至没有外送。攻击者正是看中了这个结构性盲区。

Mandiant 的披露给出了几个关键事实：受影响组织达数十家；攻击至少持续三周未被发现；威胁行为体被评估为'先进的、疑似国家支持的'团体；而且研究员明确预判，更多攻击还在后面。

这三周的静默期才是真正的行业警钟。攻击者不是进得快，而是藏得住。边界设备这类资产，既不在终端管理体系的覆盖范围内，又往往被网络团队和安全团队'两头都不管'。据多位接近相关应急响应的人士透露，不少客户是在第三方情报同步之后才倒查日志，才发现早有异常——这时证据链已经断了。

产业逻辑很清楚：APT 组织选目标资产时，不看品牌，只看驻留成本。一台日志不留痕的边界盒子，就是零日漏洞性价比最高的投放位。

🚪 思科 SD-WAN：一条不需要密码的管理通道

另一个金句：漏洞的严重程度，不看 CVSS，看它省掉了攻击者几步。

Cisco Catalyst SD-WAN Manager 这次暴露的漏洞，性质比'能打'更刺眼——未经认证的远程攻击者，可以直接以管理员权限访问系统。翻译成人话：不需要凭据、不需要鱼叉邮件、不需要任何前置动作，一步到位拿管理权。

对比一下攻击链条就明白这类漏洞的杀伤力。传统入侵要在钓鱼、提权、横向移动之间辗转好几步，每一步都是检测点。而 SD-WAN 管理面这种'一步登顶'型漏洞，把整条链压缩成了两个节点——暴露面直连 + 管理权限。检测窗口几乎为零。

更值得警惕的是 SD-WAN 这个位置本身。它是整个企业分支组网的控制中枢，拿到 Manager 权限，等于拿到全网流量拓扑和转发策略的改写权。攻击者甚至不需要在主机上留任何恶意文件，改一条路由策略就能完成流量劫持。

据业界私下流传的说法，头部客户已经在自查管理面是否直连公网。这个问题的正确答案只有一个：不该直连。但现实里，为了运维方便直连的管理面，远比 CISO 以为的多。

🍎 苹果也没幸免：从广撒网到定点猎杀

零日不是边界设备的专利，终端侧的仗打法变了。

Apple 披露的 CVE-2026-86950 是一个越界写入（out-of-bounds write）漏洞，官方措辞很罕见——攻击者'以极其复杂精巧的方式'利用它，且发生在定向攻击中。

注意两个关键词的分量。'极其复杂精巧'意味着这不是市面流通的货架化利用代码，大概率是为特定目标定制；'定向攻击'则说明攻击者已经完成了目标画像，这发子弹打出去之前就锁定了靶子。这与 NetScaler 案件中疑似国家级威胁组织的画像高度一致——高价值目标、高成本武器、低频次投放。

这张图说明了一个正在发生的分层：低端市场是自动化扫描捡漏，中段是勒索团伙批量利用,而右上角这条线——高门槛、高价值目标的零日猎杀——已经成了国家级威胁行为体的标准作业。三起事件里有两起落在这个象限。

对防守方的启示不是'恐慌'，而是校准：你若不在右上角的靶区，重点应放在补丁管理和暴露面收敛；你若自认为在靶区，就要按 APT 的强度重做检测假设。

🧭 买设备的人能做什么：从买保险到缩周期

坦白说，零日漏洞本身无法预防——这是所有安全布道里最诚实话。真正能拉开差距的，是从被利用到被发现的间隔。

这四条没有一条需要购买新产品，全部是架构和流程层面的动作。但恰恰是这些不起眼的动作，决定了你是三周发现攻击者，还是三年之后在取证报告里读到自己的名字。

业内一线越来越认可一个判断：检测与响应能力的价值，正在超过单点防护产品的价值。Mandiant 的披露本身就说明，这类深藏的入侵越来越依赖专业情报与取证能力才能被拉出来。对中型企业而言，把边界设备纳入统一的资产清单和日志体系，比多买一台盒子重要得多。

另据多位接近厂商渠道的人士反馈，这一轮事件后，客户在采购边界设备时的必答题清单正在变长：日志外送是否原生支持、管理面能否完全内网化、漏洞通告的响应 SLA 是多少。厂商侧的竞争维度，正在从功能清单转向暴露面治理能力。

📉 小结：把'三周'压到'三天'

三起零日、三类资产、一个共性：攻击者的核心竞争力已经从漏洞利用转移到了驻留耐力。三周不被发现，比一发入魂更有产业意义——它意味着防御方的真实短板不在墙上，而在眼睛里。

未来一个季度，可以预期 Citrix、Cisco 等边界设备厂商会密集发布补丁与加固指引，监管侧对关键网络设备安全要求的讨论也会被重新点燃。而对每一家企业来说，现在最该做的一件事很朴素：把所有边界设备的日志接出来，把所有管理面收进去。 零日防不住，但三周的静默期，是可以被压缩到三天的。